[Azure Updates] Azure Bastion est désormais disponible sur 20 nouvelles Régions

Rappel sur Azure Bastion

Azure Bastion est un service PaaS (Platform-as-a–Service) entièrement géré et maintenu par Microsoft (Sécurisation, Patch Management….), il fournit un accès RDP et SSH sécurisé à vos VMs Azure (Windows & Linux) directement via le portail Azure.

Azure Bastion est déployé/associé au niveau de chaque réseau virtuel (VNet) Azure et prend en charge toutes les VMs faisant partie du VNET.

Vos VMs ne sont jamais exposées sur Internet (pas d’@IP Publique), seul le service Azure Bastion est exposé et est accessible via HTTPS (via le Portail Azure).

Ce service peut remplacer votre infrastructure Bastion RDS traditionnelle, vous pouvez ainsi réduire le coût lié à l’infra VM Azure (plusieurs VMs > plusieurs centaines voire des milliers d’euros /mois, selon le sizing des VMs déployées) et réduire vos efforts de gestion, sécurisation, maintenance, backup…. (passage du mode IaaS au PaaS).

 

En savoir plus sur Azure Bastion

J’ai publié dans le passé (Juin 2019) un post assez détaillé sur Azure Bastion, je vous invite à le consulter pour en savoir plus sur Azure Bastion.

L’article est disponible ici.

 

Prise en charge d’Azure Bastion par 20 Régions Azure

Azure Bastion est désormais pris en charge par les 20 Régions Azure suivantes :

• Australia Central 2
• Australia Southeast
• Brazil South
• Canada Central
• Central US
• East Asia
• France Central
• Japan West
• Korea Central
• Korea South
• North Central US
• North Europe
• Norway East
• South Africa North
• Southeast Asia
• UAE Central
• UK South
• UK West
• West Central US
• West India

 

A bientôt :).

[Public Preview] Azure Private Link : Tout ce que vous devez savoir !

Introduction

Les clients Azure ont de plus en plus besoin d’accéder à leurs données et services Cloud de manière privée et sécurisée.

Plusieurs Services Azure (offres PaaS et SaaS principalement) sont (par défaut) déployés avec des interfaces Publics. Eg Database Azure SQL ou Compte de Stockage Azure déployés avec des URL Publics/DNS Name routable sur Internet.

Microsoft avait introduit un service appelé « VNET Service Endpoint » (Points de terminaison) permettant d’associer un service Azure partagé (Shared) à un VNET privé.

Vous pouvez en effet sécuriser la connexion à un service Partagé tel qu’une base Azure SQL PaaS en utilisant les points de terminaison VNET, ces derniers maintiennent le trafic sur le réseau interne Microsoft et permettent de « Lock-down » la ressource PaaS sur votre réseau virtuel uniquement.

En revanche, les points de terminaison PaaS restent accessibles via une adresse IP publique et ne peuvent donc pas être atteints depuis votre réseau local/onPrem via un Peering privé ExpressRoute ou une Passerelle VPN Azure.

Pour rendre ses services PaaS et SaaS Publics accessibles de manière privée et sécurisée, Microsoft a introduit un nouveau service appelé « Azure Private Link » !

 

Azure Private Link : qu’est-ce que c’est ? 

Tant attendu, Azure Private Link (APL) est un service qui va vous permettre d’accéder à des services Azure tels que Azure Storage, SQL (Offres PaaS), des Services tiers (Marketplace Azure) ou encore des ressources Buildées par vous via une liaison privée/sécurisée et complètement déconnectée d’Internet.

Une fois configuré et intégré à votre VNET, Azure Private Link établit un lien privé via des Private Endpoints avec tous les services Azure partagés pris en charge (Azure SQL, Azure Storage…), ces derniers deviennent accessibles via une Adresse IP Privée/Locale faisant parti de votre Range IP, comme n’importe quelle ressource déployée et associée à un de vos VNET Azure.

Notez qu’Azure Private Link s’intègre également avec les Zones DNS Privées d’Azure.

Prenons l’exemple suivant : Architecture Hybride Azure avec liaison ER (Private Peering)

Azure présente une extension de votre Datacenter (OnPrem), ce dernier est interconnecté avec Azure via une liaison « ExpressRoute » en Private Peering.

Vous déployez une base de données Azure SQL, par défaut, ce service est accessible via une URL publique (Routable sur Internet). Azure Private Link permet de rendre cette ressource Publique (DB Azure SQL), privée en l’associant à votre VNET et en lui attribuant une adresse IP locale. Les utilisateurs OnPrem peuvent donc (via le lien Private Peering ExpressRoute) accéder à cette DB Azure SQL via son adresse IP Privée/Locale, la ressource sera visible et accessible comme n’importe quelle ressource déployée dans vos environnements locaux ou Cloud.

Cela réduit considérablement le risque lié à l’exposition des ressources Azure sur Internet, car tout le trafic passe à travers le réseau Interne de MS Azure (Azure Backbone Network).

Le Schéma suivant illustre le fonctionnement du service Azure Private Link :

 

Vous pouvez aussi regarder la vidéo ci-dessous pour en savoir plus sur APL :

[Cliquez sur l’image pour visionner la vidéo]

 

Pourquoi utiliser Azure Private Link : Quels avantages ? Quels Use-Cases ?

L’utilisation d’Azure Private Link présente plusieurs avantages :

• Configuration réseau simplifiée : la configuration et gestion des règles de filtrage réseau reste la même car tous les services Publics partagés (eg : Azure SQL Database) deviennent privés et sont accédées via leurs interfaces IP privées comme n’importe quelle ressource associée à votre VNET (même accès et connectivité que les VM Azure par exemple).

Vous pouvez utiliser Azure Private Link dans les scénarios suivants :

• Si vous voulez établir une connexion privée avec les services PaaS Azure : comme mentionné précédemment, grâce à Azure Private Link, vous pouvez désormais accéder à des services partagés Multi-tenant tels que le Stockage Azure, Azure SQL de manière privée et sécurisée. Vous pouvez simplement créer un Private Endpoint dans votre VNET et le mapper sur votre ressource PaaS (votre compte de stockage Azure ou base de données SQL), APL attribue ensuite des adresses IP locales/privées à ces services PaaS et les rendent accessibles depuis votre réseau Azure (VNET) ou Local (OnPrem).
• Si vous voulez Établir une connexion privée avec les services SaaS Azure : Plusieurs Partenaires de Microsoft offrent aujourd’hui leurs solutions sous forme de SaaS (Software-as-a-Service) à travers la Marketplace Azure. Ces solutions SaaS sont souvent accessibles que depuis Internet. Certains clients Azure souhaitent utiliser ces SaaS au sein de leurs réseaux privés comme s’elles étaient déployées au sein de leurs Datacenters. La possibilité de consommer les solutions SaaS à titre privé au sein du réseau du client est une demande courante. Avec Azure Private Link, la connectivité privée est aussi étendue aux partenaires Microsoft. Quand APL sera en GA, vous allez surement constater la disponibilité de plusieurs offres/solutions SaaS du Marketplace via un Azure Private Link : nous allons donc parler plutôt de Private SaaS.
• Si vous voulez  établir une connexion privée avec vos services Azure (autres que PaaS et SaaS) : Le scope d’Azure Private Link ne se limite pas aux services/offres PaaS et SaaS d’Azure, vous pouvez en effet étendre APL aux autres Workloads comme par exemple des VMs Azure (faisant office de Web Server) ou des Azure WebApps placés derrière un Équilibreur de charge (Load Balancer) Standard. Le diagram suivant illustre une architecture avec et sans APL :

 

 

Comme montré dans le schéma ci-dessus, avec Azure Private Link, vous pouvez déployer et placer des ressources Azure derrière un Load Balancer Standard, et configurer ce dernier pour permettre à vos utilisateurs faisant parti d’autres tenant AAD (ou abonnements) de donc depuis d’autres VNET d’atteindre sans avoir besoin d’exposer vos ressources sur Internet.

La création d’un Azure Private Link Service est nécessaire.

 

Composants d’Azure Private Link

Il faut bien noter qu’Azure Private Link fonctionne de la manière suivante :

• Les Azure Private Endpoints sont utilisés pour rendre la communication privée avec les services PaaS/SaaS
• Les Azure Private Link Services sont utilisés pour faire référence à vos ressources (VMs) placées derrière un Load Balancer Standard.

 

Services Azure pris en charge par Azure Private Link

Services Azure PaaS pris en charge 

Encore en Public Preview au moment de la rédaction de ce post, Azure Private Link prend uniquement en charge les services PaaS suivants :

• Azure Storage
• Azure SQL Database
• Azure SQL Data Warehouse
• Azure Data Lake Storage (Gen2)

 

Autres Services Azure pris en charge 

• Services Azure placés derrière un Load Balancer Standard

 

Régions prenant en charge Azure Private Link

La Public Preview d’Azure Private Link prend uniquement en charge les régions Azure suivantes :

Type de service (Scénario)	Services pris en charge	Régions disponibles
Private Link pour vos services Azure	Services derrière un Load Balancer Standard	West Central US WestUS South Central US East US North US
Private Link pour les services Azure PaaS	Azure Storage	East US West US West Central US
	Azure SQL Database	East US West US West Central US
	Azure SQL Data Warehouse	West Central US WestUS South Central US East US North US
	Azure Data Lake Storage Gen2	West Central US WestUS South Central US East US North US

Note importante : si des règles de sécurité/Compliance vous obligent à déployer des services Azure uniquement en France (Central /Sud) ou en Europe (Nord & Ouest), vous ne pouvez malheureusement activer/configurer/tester Azure Private Link. Eg : une Azure Policy qui force le déploiement des services Azure dans les Régions France et Europe uniquement vous empêchera de déployer APL. Voir avec les Cloud SecAdmin pour faire une exclusion sur un RG de test ou réaliser vos tests sur un Abonnement dédié au Sandbox/Dev/Test.

 

Limitations

Au moment de la rédaction du présent article, Azure Private Link (encore en Public Preview) présente les limitations suivantes :

Ressource/Object	Limitation
Nombre de « Private Endpoints » par VNET	1000
Nombre de « Private Endpoints » par Abonnement	64000
Nombre de Service « Private Link » par Abonnement	32
Nombre de Configurations IP pour un Service « Private Link »	8 (Adresses IP NAT IP utilisées par PLS)
Nombre de « Private Endpoints » pour le même Service « Private Link »	1000

 

Pricing

Au moment de la rédaction de ce post, Azure Private Link est facturé de la manière suivante :

Service Liaison privée	Le service Liaison privée n’est pas facturé
Point de terminaison privé	0,005 € par heure
Données entrantes (IN) traitées	0,005 € par Go
Données sortantes (OUT) traitées	0,005 € par Go

Notez que pendant toute la période « Public Preview » du service Azure Private Link, vous bénéficiez d’une remise de 50% sur les tarifs indiqués dans le tableau ci-dessus.

 

HowTo : créer un service Azure Private Link

Pour pouvoir créer un Private Link Azure, vous devez d’abord créer un Private endpoint. Azure Private Link s’appuie en effet sur le Private endpoint pour établir les différents canaux privés entre le VNET et les services Azure cibles (PaaS, SaaS, Ressources propriétaires).

Nous allons découvrir durant cette partie comment activer et configurer Azure Private Link.

Dans l’exemple suivant, le but est de sécuriser la communication entre une DB Azure SQL (PaaS) et une VM Azure (IaaS) depuis le réseau privé (VNET) Azure.

Notre service cible (DB Azure SQL) sera accessible de manière privée via son @IP privée/locale et ne sera donc plus visible depuis Internet.

Prérequis

Si vous ne disposez pas encore de compte Azure, vous pouvez en créer un gratuitement en cliquant ici.

 

Sandbox : Informations de configuration

Voici la configuration de notre LAB Azure :

• 1 VNET :
  • Espace Adressage 10.10.0.0/16
  • Subnet 10.10.0.0/24
• 1 VM Azure :
  • WS Server 2016 (Datacenter Edition)
  • Avec SSMS (SQL Server Management Studio) installé
  • IP : 10.10.0.4
• [PaaS] Azure SQL Database :
  • Nom SQL Server : hklabdbserver.database.windows.net
  • Nom Database SQL : hklabdatabase
  • Zone DNS Privée Azure
    • Nom de la zone : hklabprivatelink.windows.database.net
    • Record A pour la base PaaS :
      • Hostname : hklabdbserver.hklabprivatelink.windows.database.net
      • IP Address (privée) : 10.10.0.5

 

Outils de déploiement

L’activation et configuration d’Azure Private Link peuvent être réalisées via différents tools (Azure Portal, Az PowerShell Module, Az CLI…).

Pour notre LAB, Azure CLI sera utilisé car c’est mon tool préféré (:D) mais aussi parce que je trouve que l’interaction avec Azure est 2 à 3 fois plus rapide par rapport à WS PS.

 

HowTo : créer un service Azure Private Link

Pour pouvoir créer et tester Azure Private Link, nous allons d’abord déployer notre infra de test, comprenant :

• 1 VNET + 1 Subnet
• 1 VM
• 1 SQL Server-as-a-Service
• 1 Database SQL Azure
• 1 Zone DNS Privée Azure + 1 Record pour notre Azure DB Server
• Le tout placé dans un Resource Group 

 

Pour ce faire, connectez-vous sur le Cloud Shell Azure et exécutez les commandes suivantes :

• Note : vous pouvez changer les noms des objets et renseigner ceux qui vous conviennent le plus (eg : respecter une convention de nommage d’un env LAB Azure de votre société ou client).

 

#1 : Création du Ressource Groupe

Exécutez la commande suivante pour créer un groupe de ressource nommé « hk-lab-rg » au niveau de la région France Central :

#2 : Création du VNET et Subnet

Exécutez les commandes suivantes pour créer un nouveau VNET nommé « hk-lab-vnet » avec un subnet de /24 nommé « hk-lab-subnet » :

#3 : Création de la VM

Exécutez les commandes suivantes pour créer une nouvelle VM WS2019Datacenter nommé « hk-lab-vm« :

 

#4 : Création d’un nouveau Server Azure SQL (hklabdbserver) et une base de données de test (hklabdatabase)

Exécutez les commandes suivantes pour créer une nouveau Server Azure SQL :

az sql server create \
–name « hklabdbserver » \
–resource-group « hk-lab-rg » \
–location francecentral \
–admin-user « hksqladmin » \
–admin-password P@$$w0rd_2019!

Exécutez ensuite les commandes suivantes pour créer une nouvelle DB Azure SQL :

az sql db create \
–resource-group hk-lab-rg \
–server hklabdbserver \
–name hklabdatabase \
–edition GeneralPurpose \
–family Gen5 \
–capacity 1

 

#5  : Mettez à jour les stratégies Réseaux au niveau du Subnet « hk-lab-subnet »

Les stratégies réseaux et règles de filtrage (eg : règles NSG) ne prennent pas en charge les Private endpoints.

Le sous-réseau auquel nous allons associer les Ressources Private Link (via les Private endpoints) doit être configuré/mis à jour pour exclure les Privates Endpoints de toute règle réseau/filtrage définie.

Pour désactiver ces stratégies réseaux du subnet sur lequel vous allez créer et associer des Private endpoints, il suffit d’exécuter les commandes suivantes :

az network vnet subnet update \
–name hk-lab-subnet \
–resource-group hk-lab-rg \
–vnet-name hk-lab-vnet \
–disable-private-endpoint-network-policies true

 

Note importante : si vous créez votre Private endpoint via le Portail Azure (GUI mode), cette mise à jour des network policies est faite de manière automatique par l’assistant. Elle doit être réalisée à la main seulement quand vous déployer des private Endpoints via Windows PowerShell (Az Module) ou Azure CLI.

 

#6 : Création du Private Endpoint

Maintenant que les ressources requises pour notre LAB ont été créées et les stratégies réseaux ont été désactivées, nous allons créer et configurer Azure Private Link.

Pour ce faire, vous devez simplement créer un Private Endpoint car APL s’appuie en effet ce dernier pour faire communiquer des ressources comme les VMs Azure avec les ressources Private Link (de type Base PaaS Azure SQL ou Compte de stockage Azure).

Commencez donc par créer un Private endpoint en exécutant la commande Az CLI suivante

az network private-endpoint create \
–name hktestprivateendpoint \
–resource-group hk-lab-rg \
–vnet-name hk-lab-vnet \
–subnet hk-lab-subnet \
–private-connection-resource-id « /subscriptions/id/resourceGroups/hk-lab-rg/providers/Microsoft.Sql/servers/hklabdbserver »/ \
–group-ids hklabdbserver \
–connection-name hklabprivateendpointconnection

 

Tip : vous devez avoir l’ID de votre Az SQL Server (paramètre –private-connection-resource-id), pour l’obtenir, vous pouvez exécuter la commande suivante :

az sql server show -n hklabdbserver -g hk-lab-rg

 

#7 : Création de la Zone DNS privé Azure ainsi que le record pour la PaaS SQL Azure

Pour créer la zone DNS privée « hklabprivatelink.database.windows.net« , exécutez la commande suivante :

az network private-dns zone create –resource-group hk-lab-rg \
–name « hklabprivatelink.database.windows.net »

Créez ensuite le lien DNS privé, en exécutant la commande suivante :

az network private-dns link vnet create –resource-group hk-lab-rg \
–zone-name « hklabprivatelink.database.windows.net »\
–name hklabdnslink \
–virtual-network hk-lab-vnet \
–registration-enabled false

Nous allons maintenant déclarer/ajouter un record (A) et l’associer à notre serveur SQL Azure (hklabdbserver <> IP locale/privée : 10.10.0.5 car le 10.10.0.4 est attribuée à notre VM WS2016) en exécutant les deux commandes suivantes :

az network private-dns record-set a create –name hklabdbserver –zone-name hklabprivatelink.database.windows.net –resource-group hk-lab-rg

az network private-dns record-set a add-record –record-set-name hklabdbserver –zone-name hklabprivatelink.database.windows.net –resource-group hk-lab-rg -a 10.10.0.5

Et voilà le tour est joué :).

HowTo : Créer /Configurer Azure Private Link via PowerShell & Azure Portal

Pour créer et configurer Azure Private Link via PowerShell (Az Moduel), consultez cet article.

Pour créer et configurer Azure Private Link via le Portail Azure, consultez cet article.

 

Tester l’accès à votre service PaaS (SQL Server Azure) via son @IP locale

Nous allons maintenant tester la connectivité (privée) entre notre VM Azure (10.10.0.4) et notre Azure SQL Server (10.10.0.5), pour ce faire :

• Connectez-vous via RDP sur la VM Azure (Click Connect pour récupérer le RDP File). Si vous n’avez pas attachée une Public IP à votre VM, vous pouvez toujours vous connecter en RDP via le service Azure Bastion. Pensez à utiliser l’URL « Preview » pour avoir l’option « Bastion : RDP|SSH » sur votre VM.
• Une fois la session Windows ouverte, lancez l’invite de commande (CMD.exe) et faites un test nslookup avec le DNS name du serveur SQL Azure en exécutant la commande suivante : nslookup hklabdbserver.hklabprivatelink.database.windows.net
• Comme montré dans la capture d’écran suivante, L’@IP retournée est 10.10.0.5 (IP locale)

• Nous allons maintenant tester la communication via le port 1433 (SQL) sur l’@IP 10.10.0.5. Pour ce faire, lancez Windows PowerShell (en tant qu’Admin) et saisissez la commande suivante : Test-NetConnection -ComputerName 10.10.0.5 -Port 1433, le résultat retourné doit indiquer ‘True’, c’est qui veut dire que la communication entre votre VM et le service PaaS Azure SQL sur le port 1433 est OK via l’@IP locale (10.10.0.5)

• Enfin, installez SQL Server Management Studio sur la VM Azure (10.10.0.4) et connectez-vous sur le serveur Azure SQL (hklabdbserver <> 10.10.0.5) à l’aide des credentials Admin SQL renseignés lors de la création du service Azure SQL
  • Note : Vous pouvez télécharger SSMS (SQL Server Management Studio) depuis l’URL suivante : https://go.microsoft.com/fwlink/?linkid=2105412

• Comme montré dans la screenshot ci-dessous, la connexion sur le serveur Azure SQL a été réalisée avec succès, nous sommes bien connectés sur notre instance hklabdbserver via l’IP locale 10.10.0.5 :

 

S(ervice) L(evel) A(greement)

Une fois en GA (General Availability), Microsoft annonce une disponibilité trois 9 (99,9) du service Azure Private Link.

Source : https://azure.microsoft.com/fr-fr/pricing/details/private-link/

 

Azure Private Link : La Roadmap ?

L’équipe Azure Networking Corp annonce plusieurs New Features dans la Roadmap Azure Private Link, à savoir :

• Disponibilité d’Azure Private Link dans de nouvelles Régions : Les régions France Central/Sud et Europe Nord/Ouest seront donc bientôt prises en charge (selon le PM Azure Networking)
• Pris en charge de plusieurs nouveaux services PaaS : Azure Cosmos DB | Azure MySQL | Azure PostgreSQL | Azure MariaDB | Azure Application Service | Azure Key Vaul
• Pris en charge de Nouveaux Services Partner (Service Tiers du Marketplace)

Quand il sera en GA, Azure Private Link prendra en charge une liste de services nettement plus importante.

Stay connected on : https://azure.microsoft.com/fr-fr/updates/?product=virtual-network

 

Lien Utile /Documenttion « Azure Private Link » 

La documentation officielle sur Azure Private Link est disponible depuis l’URL ci-dessous :

https://docs.microsoft.com/en-us/azure/private-link/

 

That’s All :).

A bientôt, #HK

[Azure Free eBook] Gouvernance Azure : Guide du Consultant [1ère Edition]

 

 

A propos de cet eBook

Ce livre gratuit vous présente toutes les composantes critiques du modèle de gouvernance global Azure (Tags, Policy, Convention de nommage, Locks)

Il décrit en détails chaque composant/service, et détaille les bonnes pratiques et limitations relatives à chaque composant.
De plus, vous apprenez à travers ce free ebook toutes les techniques vous permettant de concevoir et implémenter votre model de Gouvernance, via Le Portail Azure mais aussi via l’interface « Cross-Platform » Az CLI et Windows PowerShell (utilisation du nouveu module PS « Az »).

Note : il s’agit de la première Edition de l’eBook « Azure Governance ». La seconde Edition comprendra les autres composants du modèle de Governance, à savoir « Azure RBAC » | « Azure Automation » | « Azure Security Center » | « Azure ResourceGroup-as-a-Service »

Publics concernés par cet eBook

Ce guide pas à pas peut intéresser plusieurs populations IT :

• DSI /IT Manager /Cloud Program Manager
• RSSI /Adjoint RSSI /Responsable Sécurité Cloud
• Consultant /Architecte Azure /Architecte Solutions Cloud
• Consultant Sécurité/Cyber /Consultant Sécurité Cloud
• Administrateur /Ingénieur Cloud ou Sécurité
• Cloud Enthusiast 😊
• Toute personne souhaitant étudier, concevoir et implémenter un modèle de gouvernance Azure.

 

Téléchargez l’eBook

L’eBook est disponible en téléchargement gratuit sur BecomeITexpert.com, cliquez sur l’image ci-après pour en savoir plus :

 

Enfin, ce livre gratuit est organisé en 4 Chapitres. Je vous invite à consulter la table des matières pour en savoir plus.

Bonne lecture à tous :).

A bientôt,

#HK

[Public Preview] Azure Bastion : Tout ce que vous devez savoir !

 

Introduction

Avec son offre « Azure VM », Microsoft offre à ses clients la possibilité de déployer des infrastructures IaaS (Infrastructure-as-a–Service) sous Windows Server/Client ou Linux.

Par défaut :

• Toute VM Windows (Client ou Server) déployée est exposée à Internet et est accessible via le protocole RDP (Remote Desktop Protocol : Port 3389.
• Toute VM Linux déployée est exposée à Internet et est accessible via le protocole SSH (Secure SHell) : Port 22

 

En effet, lors de la création d’une nouvelle VM Azure (Windows ou Linux), l’assistant Azure vous propose la création d’une interface (IP) Publique pour permettre l’accès à votre VM (via RDP ou SSH) depuis Internet.

Cela vous expose à un risque important car vos VMs écoutent sur des ports (22/SSH et 3389/RDP) considérés étant vulnérables et très ciblés par les Hacker. Sans parler des Bots qui scannent en permanence les réseaux IP des Cloud Providers (tels que MS, AWS, GCP..etc) et essayent de Brute-forcer les accès SSH/RDP sur toute VM écoutant sur ces ports.

Pour réduire ce risque, certaines sociétés exposent seulement une VM (aka Jumpbox) de rebond utilisée pour atteindre les autres VMs en Back-end. Or, ce dernier devient donc aussi vulnérable car écoute toujours sur les mêmes ports (SSH/RDP), en outre, cet environnement Jumpbox est rarement « Hardené » et restreint (IP filtering, OS Hardening, AppLocker, Real-tim monitoring…etc)

D’autres sociétés ayant un niveau de sécurité plus sérieux, construisent un « vrai » environnement Bastion à base de RDS (Remote Desktop Services), comprenant une Gateway RDS pour exposer uniquement le protocole SSL/TLS (HTTPS) et encapsuler le protocole RDP over HTTPS.

Pour construire un environnement Bastion basé sur RDS, plusieurs services de rôles (et plusieurs VMs) doivent être déployées et configurées.

L’infra Bastion Azure (IaaS) peut comporter jusqu’à 6 ou 7 VMs (coût assez important), de plus, cette infrastructure devenant le point d’entrée aux infras IaaS Azure, doit être sécurisée, monitorée en permanence, backupée….etc donc un effort de gestion et maintenance non négligeable pour une société souhaitant s’offrir ce niveau de sécurité.

Enfin, les sociétés ayant plus d’exigences Sécu, n’exposent aucune VM sur Internet, même s’il s’agit d’une VM RD Gateway avec de l’HTTPS only, et optent pour une solution « Privée » qu’est la mise en place d’un VPN Point-to–Site ou P2S (si l’équipe Admin Cloud ne comporte pas plus de deux ou trois personnes) ou VPN Site-to–Site (ou S2S) s’elles souhaitent interconnecter le réseau local (ou un réseau Admin Local spécifique) avec leur VNET Azure.

• Note : les deux VPN modes sont sécurisés
  • VPN S2S : IPSec /IKEv2
  • VPN P2S : OpenVPN ou SSTP « SSL/TLS based-authentification à base de certificat »

 

Ce 18 Juin 2019, l’équipe Azure Corp a annoncé la disponibilité d’un nouveau service de sécurité appelé « Azure Bastion« .

Ce service peut remplacer toutes les solutions citées ci-haut, et vous allez vite comprendre pourquoi :).

 

Azure Bastion : qu’est-ce que c’est ?

Azure Bastion est un service PaaS (Platform-as-a–Service) entièrement géré et maintenu par Microsoft (Sécurisation, Patch Management….), il fournit un accès RDP et SSH sécurisé à vos VMs Azure (Windows & Linux) directement via le portail Azure.

Azure Bastion est déployé/associé au niveau de chaque réseau virtuel (VNet) Azure et prend en charge toutes les VMs faisant partie du VNET.

Vos VMs ne sont jamais exposées sur Internet (pas d’@IP Publique), seul le service Azure Bastion est exposé et est accessible via HTTPS (via le Portail Azure).

Ce service peut remplacer votre infrastructure Bastion RDS traditionnelle, vous pouvez ainsi réduire le coût lié à l’infra VM Azure (plusieurs VMs > plusieurs centaines voire des milliers d’euros /mois, selon le sizing des VMs déployées) et réduire vos efforts de gestion, sécurisation, maintenance, backup…. (passage du mode IaaS au PaaS).

 

Azure Bastion est encore en « Public Preview », et est disponible uniquement pour les Régions Azure suivantes :

• West US
• East US
• West Europe
• South Central US
• Australia East
• Japan East

 

Azure Bastion : Big Picture

Le schéma suivant illustre l’accès RDP/SSH via Azure Bastion

source : Blog MS Azure

Pré-requis

Pour pouvoir déployer le service Azure Bastion, vous devez vérifier les deux prérequis suivants :

• Disposer d’un compte Azure, vous pouvez en créer-un gratuitement ici.
  • Note : Vous bénéficiez de 170€ de Crédit pour tout nouveau compte Azure créé.
• Enregistrer la fonctionnalité « AllowBastionHost » du fournisseur de ressources « Microsoft.Network » au niveau de votre abonnement, et ce en exécutant les commandes PS suivantes.
  • Note : les Commandes PS ci-dessous peuvent être exécutées depuis une instance PS locale ou directement depuis le Cloud Shell.

 

Tip : si votre compte Azure est associé à plusieurs abonnements, commencez par sélectionner celui pour lequel vous souhaitez enregistrer le service Azure Bastion (AllowBastionHost Feature), exécutez les commandes suivantes :

Maintenant que vous avez sélectionné votre abonnement, commencez par enregistrer la fonctionnalité « AllowBastionHost » en exécutant la commande suivante :

Register-AzureRmProviderFeature -FeatureName AllowBastionHost -ProviderNamespace Microsoft.Network

Exécutez ensuite la commande PS suivante pour enregistrer à nouveau votre abonnement avec le Provider NameSpace « Microsoft.Network » :

Register-AzureRmResourceProvider -ProviderNamespace Microsoft.Network

Enfin, exécutez la commande PS suivante pour vérifier que la Feature « AllowBastionHost » est bien enregistrée au niveau de votre abonnement :

Get-AzureRmProviderFeature -ProviderNamespace Microsoft.Network

Tip : La vérification de l’inscription/enregistrement du fournisseur de ressource ‘Microsoft.Network’ peut également être réalisée depuis le Portail Azure, en sélectionnant votre abonnement et cliquant sur le Blade ‘Resources providers’, voir capture d’écran ci-dessous :

Tous les prérequis ont été mis en place, maintenant nous allons découvrir comment déployer le service « Azure Bastion » et commencer à exploiter cette Amazing Feature :).

 

Méthodes de déploiement du Bastion Azure

Il existe deux méthodes de déploiement d’Azure Bastion :

• Déploiement depuis la Marketplace Azure
• Déploiement depuis les paramètres d’une VM Azure

 

HowTo : déployer Azure Bastion

Déployer un Bastion Azure depuis la Marketplace

Pour déployer le service Azure Bastion depuis la Marketplace, suivez les instructions suivantes :

• Connectez-vous sur le Portail Azure Preview, il est important d’utiliser ce lien plutôt que l’URL standard (https://portal.azure.com)
• Cliquez sur ‘Create a resource’
• Saisissez le mot ‘Bastion’ depuis la zone de recherche et sélectionnez ensuite ‘Bastion (preview)’ :

• Cliquez sur ‘Create’ pour continuer :

• Maintenant, sélectionnez/remplissez les informations suivantes et cliquez ensuite sur ‘Review + Create’.
  • Abonnement (Subscription)
  • Groupe de ressource (Resource Group)
  • Nom de l’instance Bastion Host Azure
  • Région de l’instance (sélectionnez l’une des 6 Régions prenant en charge Azure Bastion, voir la liste ci-haut)
  • Réseau Virtuel Azure (Virtual NETwork Azure) dans lequel le sous-réseau du Bastion Azure sera créé
  • Sous-réseau (Subnet) du Bastion Azure
    • Note importante : le Subnet qui sera dédié au Host Azure Bastion doit avoir les caractéristiques suivantes :
      • Doit avoir un Net(work)Mask ‘/27’
      • Doit être nommé ‘AzureBastionSubnet’
  • Nom de l’adresse IP Publique du Bastion vu qu’il sera exposé sur Internet (flux HTTPS Only !)
    • Note : l’@IP Publique qui sera attribuée au Bastion Host Azure sera statique, il s’agit d’un choix défini par défaut par Azure (non modifiable !)

• Le déploiement du service Azure Bastion démarre…

• Une fois déployé, le service Azure Bastion apparaît désormais dans le Groupe de Ressource spécifié lors du déploiement du Service Bastion Azure :

• Enfin, vous pouvez cliquer votre service Bastion pour afficher ses propriétés :

Déployer un Bastion Azure depuis les paramètres d’une VM Azure

Pour déployer/activer le service Azure Bastion depuis les Paramètres d’une VM Azure, suivez les instructions suivantes :

• Connectez-vous sur le Portail Azure Preview, il est important d’utiliser ce Lien plutôt que l’URL standard (https://portal.azure.com)
• Depuis le Blade « Toutes les ressources » ou « Virtual Machines » si vous l’avez « Favorisé », localisez et sélectionnez une VM Azure (Linux ou Windows)
• Cliquez sur « Connect » et cliquez ensuite sur « BASTION« 
• Si le service Bastion n’a jamais été déployé depuis la Marketplace comme montré précédemment, le bouton suivant (Use Bastion) s’affiche :

• Lorsque vous cliquez sur ce bouton, l’assistant de création du Bastion Host suivant s’affiche, vous êtes invité à renseigner les mêmes informations que celles demandées lors de la création du service Bastion depuis la Marketplace :

 

Note : si vous essayez d’activer Azure Bastion au niveau d’un VNET déployé sur une Région autres que celles (les 6 Régions) listées ci-haut, le message suivant vous est retourné :

 

HowTo : Se connecter aux VMs Azure via Azure Bastion

Pour se connecter à vos VMs Azure via Azure Bastion, rien de plus simple :

• Sélectionnez votre VM Azure,et cliquez sur « Connect« 
• Depuis la fenêtre qui s’affiche, cliquez sur « BASTION » et remplissez les informations de connexion/authentification :
• Dans l’exemple suivant, nous allons nous connecter (via RDP) à notre VM Azure Windows nommée « hkdemowsvm01« 

• Cette fois-ci, je me connecte en SSH à une VM Azure Linux « hkdemolinuxvm01 » :

Bien évidemment, les deux VMs (Windows & Linux) utilisées dans les exemples précédents ne sont pas exposées à Internet et ne disposent donc d’aucune Interface IP Publique :

hkdemowsvm01

hkdemolinuxvm01

 

HowTo : Copier/Coller du Texte

Seul le Clipboard (Copier/Coller) du Texte est autorisé à travers le service Azure Bastion (pour l’instant ^_^).

Pour les navigateurs Web prenant en charge l’accès avancé à l’API Presse-papiers, vous pouvez copier et coller du texte entre votre Device/PC local et la session distante (VM Azure cible) de la même manière que vous copiez et collez entre des applications hébergées sur une seule et même machine (locale).

Pour les autres navigateurs, vous pouvez utiliser la palette d’outils d’accès au presse-papiers Bastion.

Lors de la première connexion RDP ou SSH via Azure Bastion, vous serez invité à autoriser le Clipboard depuis votre Navigateur Web, le message suivant est affiché, et il suffit de cliquer sur « Allow » pour autoriser le Clipboard :

Comment ça marche ?

Une fois connecté (via RDP ou SSH) à une VM Azure, cliquez sur les deux Flèches situées à gauche de la fenêtre :

Copiez ensuite un texte depuis votre machine locale, notez qu’il est automatiquement ajouté à la boite de dialogue du Bastion Azure, voir capture d’écran ci-dessous :

Enfin, collez votre texte depuis la session distance Azure Bastion :

Azure Bastion : Limitations

Azure Bastion est déployé et associé au niveau Azure VNET, vous devez le déployer pour chaque VNET présent au sein de votre abonnement.

La prise en charge du VNET Peering n’est pas encore pris en charge, et Microsoft ne sait pas (pour l’instant) répondre à la question.

 

Conclusion 

Au moment de l’écriture de ce post, Azure Bastion est encore en « Public Preview », vous aurez compris : à ne pas déployer sur vos environnements Azure de Production.

Il présente encore quelques bugs et problèmes de stabilité, que j’ai d’ailleurs remontés à l’équipe Azure Corp.

Selon les infos communiquées par MS (NDA Comm), il sera GA (Generally Available) dans quelques mois.

Ce service Bastion pourra remplacer vos infrastructures Bastion de type RDS/RD Gateway (avec ou sans RD Web Access Portal). Vous passerez donc d’un mode IaaS (Infra RDS exécutée sur de plusieurs VMs Azure : coût important + effort de gestion) à une plateforme Bastion PaaS (Platform-as-a-Service) fully-managed par Microsoft, ce mode PaaS présente plusieurs avantages, à savoir : une plateforme always UpToDate et plus sécurisée.

 

Voilà :).

#HK

Azure Customer Lockbox : Tout ce que vous devez savoir !

Introduction

Azure Customer Lockbox est un service intégré dans le Portail Azure qui vous permet de vérifier la confidentialité et l’intégrité de vos données en contrôlant (auditer et approuver) les accès demandés par les équipes d’ingénieurs de support Azure de Microsoft.

Ce service Azure a vu le jour car plusieurs clients disposant d’une politique de sécurité sérieuse, ont fait part de leur exigence à Microsoft quant à la confidentialité et accès à leurs données hébergées dans les Datacenters Azure de Microsoft.

Constats

Questions très logiques posées par la quasi totalité de mes clients aujourd’hui :

• Comment puis-je m’assurer de la confidentialité et l’intégrité de mes données hébergées/stockées sur Azure ?
• Comment puis-je vérifier que Microsoft (plus précisément les équipes d’administrateurs et ingénieurs Microsoft) n’accèdent pas à mes données hébergées/stockées sur Azure ?

La première réponse est bien évidemment : L’ENCRYPTION  >> Chiffrement des données de bout-en-bout

Toutes les données hébergées dans le Cloud, que ce soit sur Azure ou d’autre CP (Cloud Platform) doivent être chiffrées, cela concerne :

• Les données in-transit
• Les données in-use
• Les données at-rest

Le chiffrement de vos données dans le Cloud garantie la confidentialité et intégrité de vos données : seules les personnes détenant la clé de chiffrement peuvent déchiffrer et accéder à vos donnés.

La deuxième partie de la réponse est aujourd’hui la disponibilité du service Customer Lockbox dans le Portail Azure.

Note : ce service est également disponible Pour Office 365

 

Services pris en charge par Azure Customer Lockbox

Le Customer Lockbox concerne uniquement l’accès à vos VMs Azure.

Si l’équipe d’ingénieurs Microsoft en charge de la partie IaaS VM Azure a besoin d’accéder à vos VMs (pour des besoins de Troubleshooting, Maintenance…etc), vous recevrez donc une demande d’accès depuis ce Service, et vous aurez la possibilité d’accepter (approuver) ou pas cette demande.

 

Azure Customer Lockbox : Implémentation

Rien à faire de votre côté :).

Le service est déjà activé et available for use.

 

Azure Customer Lockbox : Tour d’Horizon

Faisons un tour d’horizon du service Customer Lockbox Azure.

• Connectez-vous sur le Portail Azure
• Saisissez « Customer Lockbox » depuis la barre de recherche
• Localisez et cliquez sur le résultat retourné comme montré dans la capture d’écran suivante :

 

Le Blade « Overview » du Customer Lockbox est présenté comme suit :

 

Les deux options suivantes sont proposées via le Customer Lockbox :

• Review Requests (Redirect vers le Blade « Pending Requests ») : vous permet de visualiser toutes les demandes d’accès en cours envoyées par Microsoft et en attente d’une approbation de votre part. A partir de ce Blade, vous avez donc la possibilité de lister et approuver (ou pas) ces demandes d’accès. Dans l’exemple suivant, aucune demande en cours n’est en attente d’approbation.

Dans l’exemple suivant, deux demandes d’accès sont envoyées par l’équipe « Microsoft Support Enginner Team » et sont en attente d’approbation

 

• Explore Logs (Redirect vers le Blade « Activity Logs ») : répertorie toutes les activités relatives aux approbations. Tous les journaux collectés sont listés depuis ce Blade. A consulter pour suivre qui et quand des demandes d’accès ont été approuvées (ou refusées) :

Je n’ai jamais reçu de demande d’accès à mes VMs Azure (Tenant Perso Azure) de la part de MS, donc aucun Log n’est disponible depuis « Activity Logs ».

Voilà 🙂

#HK

[Azure Free Training] Lesson4 : Tout ce que vous devez savoir sur « Azure Policy »

 

Liste des premiers modules de la série « Gouvernance Azure »

Les trois premiers modules de la série « Gouvernance Azure » sont disponibles depuis les URLs suivantes :

[Azure Free Training] Lesson1 : Définissez votre Convention de Nommage Azure

[Azure Free Training] Lesson2 : Protégez vos ressources Azure, Appliquez des « Locks Azure »

[Azure Free Training] Lesson3 : Tout ce que vous devez savoir sur Azure Tags

 

Introduction

Si vous devez migrer des Workloads depuis votre Corporate Network (aka Onprem) vers Azure (Lift & Shift Mode) ou construire de nouvelles architectures Azure (« Cloud Native » Mode), notez que la Step1 de votre projet va consiste à définir un Modèle de Gouvernance Global pour Azure.

Comme illustré dans le schéma ci-dessus, le modèle de Gouvernance Azure (Azure Scaffold) est composé de :

• Convention de nommage (définition de vos naming standards pour vos ressources Azure)
• Modèle de délégation (RBAC)
• Policy (Stratégies Azure)
• Tags (Azure Resources Tags)
• Azure Locks
• Subscrption Design (Nombre d’abonnements à créer..etc)
• …Etc

 

Durant cette « Lesson 4 », nous allons découvrir un composant critique du Scaffold Azure qu’est « Azure Policy » ou « Stratégie Azure » en Français.

Azure Poliy est service de sécurité (et Gouvernance) Azure très puissant qui vous permet de définir et appliquer une politique de sécurité « Dès la concepton » (ou Security by Design en Anglais).

Azure Policy peut être utilisé pour renforcer la sécurité de votre environnement Azure en mettant en place des règles de sécurité telles que :

• Pas de déploiement de ressources Azure hors « France »
• Pas d’utilisation d’adresse IP Publique sur vos VMs
• Forcer l’utilisation de vos images Master Windows pour Azure VM
• Forcer le chiffrement des comptes de stockage Azure
• Auditer si des comptes propriétaires n’ont pas de MFA « activé »
• …

 

Avec Azure Policy, vos ressources Azure restent « Compliant » avec votre politique de sécurité existante, vous maitrisez aussi votre gouvernance global Azure en forçant vos règles/exigences de sécurité dès le déploiement de tout service Cloud Azure.

Consultez le document SlideShare ci-dessous pour en savoir plus, Enjoy :).

 

Step-by-step guide sur Azure Policy : Introduction & HowTo

Le document est disponible sur SlideShare, à cet URL.

Vous pouvez aussi le visualiser directement depuis ce post, voir Slide ci-dessous :

[Azure Governance] Lesson 4 : Azure Policy from ☁ Hicham KADIRI ☁

Ce Slide a été rédigé en Anglais (pour atteindre un public plus large) mais sera bientôt disponible en Français sur la même plateforme.

 

Next Lesson ?

Je travaille actuellement sur les autres « Lessons/Modules » du modèle de Gouvernance Global Azure, à savoir :

• Azure RBAC
• Azure Resources Groups
• Azure Automation

 

N’hésitez pas à vous abonner à mon Blog (ou à mon profil SlideShare) pour rester informé de toute nouvelle publication.

Sinon, vos Comments/Feedbacks sont bien évidemment les bienvenus :).

#HK

[Azure Security Updates] Disponibilité Générale d’Azure AD Password Protection !

Hi Folks,

Microsoft a récemment annoncé la disponibilité générale (GA : General Availability) d’Azure AD Password Protection.

Je vous recommande vivement de le configurer désormais sur vos Directories Azure AD.

Lien utile

J’avais déjà rédigé dans le passé un post détaillant le sujet (Azure AD Password Protection) ainsi que l’option « Smart Lockout ».

Je vous invite à consulter cet article pour en savoir plus : https://hichamkadiri.wordpress.com/2018/07/21/azure-security-introduction-a-azure-ad-password-protection-et-smart-lockout-desormais-disponibles-en-public-preview/

 

[New eBook] Azure Advisor – Guide du Consultant

Si vous avez des projets autour de la sécurité Azure, eh bien ce nouvel eBook est fait pour vous :).

A propos de cet eBook

Cet eBook décrit en détail le service Azure Advisor : votre consultant Azure virtuel et personnalisé.
Vous commencez par apprendre les concepts de base liés au Cloud Azure (les régions et Zones, disponibilités des services, Azure Interactive Updates, Azure Environments,…).

L’auteur vous présente ensuite tous les outils de gestion Azure (GUI & CLI Tools).
Enfin, Azure Advisor est décrit Step-by-Step, vous apprendez comment activer/désactiver les recommandations, configurer les règles d’Az Advisor, générer les rapports…etc

Azure Advisor est super tool qui peut vous aider à renforcer votre gouvernance Azure Globale.

Il vous aide à sécuriser et augmenter la disponibilité de vos services Cloud et réduire le coût Azure Global de manière considérable.

Ce guide pas à pas peut intéresser plusieurs populations IT :

• DSI /IT Manager /Cloud Program Manager
• Consultant /Architecte Azure /Architecte Solutions Cloud
• Consultant /Architecte Sécurité Cloud
• Administrateur /Ingénieur Cloud ou Sécurité
• Cloud Enthusiast 😊.
• Toute personne désirant prendre en main le service Azure Advisor

 

L’eBook est organisé en 6 Chapitres, voir la table des matières suivante pour en savoir plus :

Sommaire_1

Sommaire_2

 

L’eBook est disponible sur BecomeITexpert.com, cliquez sur l’image ci-après pour en savoir plus :

Read & Enjoy :).

[Azure Toolbox #4] Azure Advisor : Introduction & HowTo

Introduction à Microsoft Azure Advisor 

Microsoft Azure Advisor est un Consultant Azure « Virtuel » et « Automatisé » qui vous aide à optimiser vos déploiements Cloud et réduire vos consommations Azure. Il s’appuie sur tout un ensemble de « Best Practices » et règles de conformité/sécurité standards.

En effet, Azure Advisor examine la configuration de tous vos services Azure déployés et vous propose des recommandations dans les domaines suivants

Haute Disponibilité (HA : High Availability)

Sécurité

Performance

Coût (Cost)

 

Grace à Azure Advisor, vous pouvez :

• Bénéficier de recommandations en termes de meilleures pratiques proactives, interactives et personnalisées.
• Améliorer les performances, la sécurité et la haute disponibilité de vos ressources Azure
• Réduire le coût/consommation Azure.
• Obtenir des recommandations avec des propositions d’actions intégrées.
  • Les recommandations proposées par Azure Advisor sont fournies avec des liens intégrés vous permettant d’implémenter directement les actions de remédiation.

 

Azure Advisor : ce que vous devez savoir !

Les recommandations fournies à travers Azure Advisor reposent sur les Best Practices courantes, telles que le placement de machines virtuelles (VM) dans des Groupes à haute disponibilité, Non-exposition des ports tels que RDP/SSH sur Internet…

Les recommandations de sécurité proviennent d’Azure Security Center. Alors que les données de facturation sont collectées à partir du portail Azure Enterprise, Azure Advisor peut analyser l’utilisation/consommation Azure et identifier les points pouvant réduire le coût tels que les VMs sous-utilisées. C’est la raison pour laquelle Azure Advisor, reste un outil assez puissant qui peut vous aider à renforcer votre gouvernance globale Azure.

Autorisations nécessaires pour accéder à Azure Advisor 

Les utilisateurs ayant les rôles suivants peuvent accéder à Azure Advisor et visualiser toutes les recommandations, et ce pour toutes les catégories :

• Propriétaires
• Contributeur
• Lecteur

 

Ressources pouvant être analysées/évaluées par Azure Advisor 

Azure Advisor peut évaluer la configuration des ressources Azure suivantes seulement :

• Machine Virtuelle Azure
• Groupes à haute disponibilité
• Passerelles d’application
• App Services
• Serveurs SQL
• Cache Azure pour Redis.

 

Azure Advisor : Prise en main

Faisons un tour d’horizon d’Azure Advisor !

Azure Advisor est accessible depuis « Tous les services /All services » ou simplement en saisissant « Advisor » depuis la barre de recherche du Portail Azure

Tip : Je vous recommande de l’ajouter en tant que « Service Favoris » en cliquant sur l’Etoile noire:

Comme montré dans la capture d’écran ci-dessous, Azure Advisor est composé de plusieurs onglets :

• Haute disponibilité : liste les recommandations qui vous aideront à augmenter la disponibilité de vos services Azure les plus critiques
• Sécurité : liste les recommandations qui vous permettent de détecter les menaces et vulnérabilités pouvant conduire à des failles de sécurité.
• Performance : liste les recommandations qui vous aideront à améliorer les performances de vos services Cloud Azure.
• Coût : liste les recommandations qui vous permettant d’optimiser et réduire vos coûts /consommations Azure

Il existe deux autres volets qui sont :

• Vue d’ensemble : cet onglet présente un résumé de toutes les recommandations, pour les 4 domaines/catégories (Sécurité, HA, Performance et Coût). Si vous souhaitez consulter les recommandations pour une catégorie spécifique, rendez-vous sur un des 4 onglets précédemment. eg : Onglet « Sécurité« : pour consulter les recommandations de sécurité).
• Tous : cet onglet liste toutes les recommandations pour les 4 catégories. Vous pouvez simplement cliquer sur une recommandation pour afficher plus de détails. Vous avez ensuite la possibilité de la reporter/ignorer ou de réaliser l’action de remédiation proposée.

Configurer Azure Advisor

Azure Advisor vous offre la possibilité de configurer les abonnements et groupes de ressources à analyser/évaluer.

Si vous voulez exclure certains abonnements ou groupes de ressources du scope d’Azure Advisor, eh bien cela peut être configuré en cliquant sur le bouton « Configurer » :

Vous pouvez ensuite, inclure ou exclure des abonnements ou groupes de ressources dans l’évaluation Azure Advisor :

Note : Par défaut, tous les abonnements Azure (et leurs RG associés) sont inclus dans le scope d’Azure Advisor.

 

Filtrer vos abonnements Azure

Vous pouvez configurer vos filtres pour n’afficher que les recommandations proposées pour un abonnement spécifique.

Cela peut être configuré depuis « Répertoire + abonnement »

Dans l’exemple suivant, le filtre d’abonnement global Azure sera modifié pour sélectionner que l’abonnement « Microsoft Azure Sponsorship » :

Comme montré dans la Screenshot ci-dessus, l’abonnement sélectionné depuis « Répertoire + abonnement » est automatiquement configuré au niveau d’Azure Advisor. Notez que vous pouvez également configurer ce filtre depuis le Dashbord Azure Advisor, depuis la liste déroulante « Abonnements« .

 

Filtrer vos ressources Azure

Vous avez également la possibilité de filtrer les types de ressources Azure pour lesquels vous voulez afficher les recommandations Azure Advisor.

Dans l’exemple suivant, le filtre « Type de ressource > Machines Virtuelles » sera configuré. Les recommandations affichées depuis le Dashbord Azure Advisor concernent uniquement celles qui s’appliquent aux VMs Azure :

 

Grouper vos recommandations par Abonnement

Azure Advisor vous permet d’organiser les recommandations Azure Advisor par Abonnement.

Cela peut être configuré en sélectionnant l’option « Grouper par abonnement » :

Afficher les détails sur les recommandations Azure Advisor

Comme indiqué précédemment, pour obtenir plus d’informations sur les recommandations proposées par Azure Advisor, il faut se rendre dans l’onglet « Tous » ou sur l’onglet correspondant à une catégorie spécifique.

Cliquez sur une recommandation pour en savoir plus. Dans l’exemple suivant, je vais cliquer sur « Utiliser des groupes à haute disponibilité….« :

Les informations détaillées suivantes sont affichées :

• La colonne « Machine Virtuelle« , liste les VMs impactées/concernées par la recommandation.
• La colonne « Actions recommandées« , vous permet d’implémenter l’action recommandée (création d’AS dans notre exemple: Availability Set).
• La colonne « Action » vous permet de reporter cette action ou de l’ignorer.

Dans mon cas, je peux simplement ignorer cette recommandation car il s’agit ici de VMs de Test/Demo.

En effet, un Groupe à haute disponibilité est plutôt destiné à des environnements de Production (Domain Controllers, SQL Server IaaS, ERP, Business App…etc).

 

Configurer la règle « Utilisation moyenne CPU » pour les VMs à analyser par Azure Advisor 

Par défaut, les VMs présentant une utilisation de <5 % CPU sont considérées comme étant « surdimensionnées », c’est la raison pour laquelle vous recevrez des recommandations vous indiquant des VMs sous-utilisées avec comme action « Redimensionnement Machine Virtuelle ». Si vous estimez que cette valeur est très basse, vous pouvez la modifier à tout moment en cliquant « Configurer » > « Règles » > sélectionnez l’abonnement concerné par cette modification > cliquez ensuite sur « Modifier« , enfin spécifier la valeur qui vous convient (<10% dans l’exemple suivant) :

 

Télécharger les rapports Azure Advisor 

Le service « Azure Advisor » vous offre la possibilité de télécharger les rapports des recommandations.

Deux types de rapports peuvent être générés :

• Rapport au format PDF
• Rapport au format CSV

Les rapports PDF sont présentables dans l’état, en revanche les rapports CSV doivent être formatés si vous devez les présenter à votre client ou votre responsable hiérarchique.

Voici un exemple de rapport CSV AzAdvisor format (Excel Data convertie)

Les rapports PDF générés ressemblent à l’image ci-dessous :

 

Azure Advisor : Pricing 

Azure Advisor est un service gratuit :).

Gérer Azure Advisor via Windows PowerShell

Je prépare actuellement un autre guide Step-by-Step sur l’utilisation d’Azure Advisor via Windows PowerShell (Az PowerShell Module).

Restez connectés :).

N’hésitez pas à vous abonner à mon Blog pour rester informé de toute nouvelle publication.

A bientôt,

#HK

[Azure Free Training] Lesson3 : Tout ce que vous devez savoir sur Azure Tags

Liste des premiers modules de la série « Gouvernance Azure »

Les deux premiers modules de la série « Gouvernance Azure » sont disponibles depuis les URLs suivantes :

[Azure Free Training] Lesson1 : Définissez votre Convention de Nommage Azure

[Azure Free Training] Lesson2 : Protégez vos ressources Azure, Appliquez des « Locks Azure »

 

Introduction

Si vous devez migrer des Workloads depuis votre Corporate Network (aka Onprem) vers Azure (Lift & Shift Mode) ou construire de nouvelles architectures Azure (« Cloud Native » Mode), notez que la Step1 de votre projet va consiste à définir un Modèle de Gouvernance Global pour Azure.

Comme illustré dans le schéma ci-dessus, le modèle de Gouvernance Azure (Azure Scaffold) est composé de :

• Convention de nommage (définition de vos naming standards pour vos ressources Azure)
• Modèle de délégation (RBAC)
• Policy (Stratégie Azure)
• Tags (Azure Resources Tags)
• Azure Locks
• Subscrption Design (Nombre d’abonnements à créer..etc)
• …Etc

 

Durant cette « Lesson 3 », nous allons découvrir la composante « Azure Tags » ou « Balises Azure » en Français.

Azure Tags vous permettent d’organiser, de manière logique les ressources Azure avec les propriétés que vous définissez. Les Tags deviennent très utiles lorsque vous devez organiser des ressources pour une meilleure gestion et/ou facturation (Billing) > eg : combine me coûte toutes les VMs de Production > il suffit de sélectionner toutes les VMs ayant comme Tag « Environnement=Production » pour le savoir :).

 

Step-by-step guide sur Azure Tags : Introduction & HowTo

Le document est disponible sur SlideShare, à cet URL.

Vous pouvez aussi le visualiser directement depuis ce post, voir Slide ci-dessous :

[Azure Governance] Lesson 3 : Azure Tags from ☁ Hicham KADIRI ☁

Ce Slide a été rédigé en Anglais (pour atteindre un public plus large) mais sera bientôt disponible en Français sur la même plateforme.

 

Next Lesson ?

Je travaille actuellement sur les autres « Lessons/Modules » du modèle de Gouvernance Global Azure, à savoir :

• Azure Policies
• Azure RBAC
• Azure Resources Groups
• Azure Automation

 

N’hésitez pas à vous abonner à mon Blog (ou à mon profil SlideShare) pour rester informé de toute nouvelle publication.

Sinon, vos Comments/Feedbacks sont bien évidemment les bienvenus :).

#HK